(57)【要約】【課題】不正なデータ伝送を行っている端末装置を少ない負担で確実に探索する。【解決手段】制御装置ＳＷｋの各ポートＰknを通過するデータを監視して不正なデータ伝送を検知するセンサ装置Ｓｋがネットワーク内に分散して配置される。各センサ装置Ｓｋの検知情報を管理装置Ｍで収集して一元的に管理している。故に、従来例のように不正なデータ伝送を検知するためのプログラムモジュールを順次転送させるものに比較して少ない負担で不正なデータ伝送を行っている端末装置を確実に探索できる。【選択図】        図１
2006311448.tif 000002
【特許請求の範囲】
【請求項１】
各々固有のアドレスが割り当てられた複数の端末装置が伝送路を介して接続されたネットワークを監視するネットワーク監視システムであって、
それぞれに伝送路が接続される複数のポートを具備したスイッチングハブからなる複数の制御装置と、
各制御装置と一対一に対応し当該制御装置の各ポートを通過するデータを監視して不正なデータ伝送を検知する複数のセンサ装置と、
各センサ装置の検知情報を収集する管理装置とを備え、
各センサ装置は、少なくとも管理装置との間で通信する通信手段と、制御装置の各ポート毎に不正なデータを検知する検知手段と、検知手段が不正なデータを検知したときに不正なデータ伝送が検知されたポートを示すポート番号を含む検知データを生成し通信手段により管理装置に伝送させるセンサ制御手段とを具備し、
管理装置は、少なくともセンサ装置との間で通信する通信手段と、各制御装置に割り当てられた識別符号とセンサ装置のセンサ番号並びに各制御装置のポート番号と当該ポート番号のポートに伝送路を介して接続された制御装置又は端末装置との対応関係を記憶する記憶手段と、通信手段によって何れかのセンサ装置から検知データを受け取った場合に記憶手段を参照して当該検知データに含まれるセンサ番号が割り当てられたセンサ装置に対応する制御装置と伝送路を介して直接接続されている他の制御装置に対応するセンサ装置に対して不正なデータ伝送の検知結果の返信を要求する返信要求を生成するとともに通信手段によって当該返信要求を伝送させる管理制御手段とを具備し、
前記返信要求を受けたセンサ装置のセンサ制御手段は、検知手段が不正なデータ伝送を検知したときは自己のセンサ番号を含む検知データを生成して通信手段により管理装置に返信し、
前記検知データの返信を受け取った管理装置の管理制御手段は、記憶手段を参照して当該検知データを返信したセンサ装置に対応する制御装置と伝送路を介して直接接続されている他の制御装置に対応するセンサ装置に対して不正なデータ伝送の検知結果の返信を要求する処理を繰り返すことで不正なデータ伝送を行った端末装置に直接接続されている制御装置を探索することを特徴とするネットワーク監視システム。
【請求項２】
管理装置は、制御装置との間で通信する前記通信手段と、各制御装置に割り当てられた識別符号とセンサ装置のセンサ番号と端末装置のアドレスとの対応関係を記憶する前記記憶手段と、不正なデータ伝送を行った端末装置に直接接続されている制御装置に対して通信手段により制御命令を伝送して不正なデータ伝送を阻止するための制御を行わせる前記管理制御手段とを具備することを特徴とする請求項１記載のネットワーク監視システム。
【請求項３】
管理装置は、センサ装置から受け取った検知データ並びに管理制御手段によって探索された端末装置のアドレスを記憶する前記記憶手段と、記憶手段に記憶した情報並びに端末装置のアドレスの履歴に基づき、次回の探索時において返信要求の対象とするセンサ装置を選択する前記管理制御手段とを具備することを特徴とする請求項１又は２記載のネットワーク監視システム。
【請求項４】
各センサ装置は、各制御装置に割り当てられた識別符号とセンサ装置のセンサ番号と端末装置のアドレスとの対応関係を記憶する記憶手段と、管理装置の動作状況を監視する監視手段と、監視手段にて管理装置が応答不可と判断された場合、通信手段によって他のセンサ装置から検知データを受け取ったときに記憶手段を参照して当該検知データに含まれるセンサ番号が割り当てられたセンサ装置に対応する制御装置と伝送路を介して直接接続されている他の制御装置に対応するセンサ装置に対して不正なデータ伝送の検知結果の返信を要求する返信要求を生成し且つ通信手段によって当該返信要求を伝送させる処理を繰り返し、不正なデータ伝送を行った端末装置に直接接続されている制御装置を探索するとともに当該制御装置に対して通信手段により制御命令を伝送して不正なデータ伝送を阻止するための制御を行わせる前記センサ制御手段とを具備することを特徴とする請求項１〜３の何れかに記載のネットワーク監視システム。
【請求項５】
各センサ装置の検知手段は、対応する制御装置のポート毎のトラフィックに対するパターン数を基準にして不正なデータ伝送を検知することを特徴とする請求項１〜４の何れかに記載のネットワーク監視システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ウィルスやワームあるいはＤｏＳ(denial of service)攻撃などの不正なデータ伝送を監視するネットワーク監視システムに関するものである。
【背景技術】
【０００２】
近年、ローカルエリアネットワークやインターネットなどのネットワークにおいて、ウィルスやワームあるいはＤｏＳ(denial of service)攻撃などの不正なデータ伝送による端末装置（主にコンピュータ）への被害が急増している。かかる被害を減少させるために上記不正なデータ伝送を監視するネットワーク監視システムが必要になる。ここで、従来のネットワーク監視システムとして、例えばＤｏＳ攻撃を受けている端末装置が直接接続されているブリッジやルータなどの通信制御装置において、通過するデータ（パケット）を監視してＤｏＳ攻撃を検知するプログラムモジュールを作動させ、上流の通信制御装置、すなわち攻撃元に近い通信制御装置を検索し、さらに上流の通信制御装置に当該プログラムモジュールを伝送し作動させることでより上流の通信制御装置を探索し、これを繰り返すことで攻撃元に最も近い通信制御装置を防御位置と定め、当該防御位置の通信制御装置にアクセス制御を行わせることでネットワーク全体のパフォーマンス低下を抑制しつつＤｏＳ攻撃に対する防御を行うものが提案されている（特許文献１参照）。
【特許文献１】特開２００３-２８３５７１号公報（段落０００４参照）
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら、上記従来例においては、不正なデータ伝送（例えば、ＤｏＳ攻撃）が行われたとき、その都度、攻撃元を検知するためのプログラムモジュールを通信制御装置間で転送し、各通信制御装置で攻撃元の検知処理が個別に行われているので、例えば、同一の攻撃が間をおいて頻繁に行われた場合でも毎回プログラムモジュールを転送して攻撃元の探索を行わなければならず、通信制御装置にかかる負担が大きくなるという問題があった。また、ブリッジやルータからなる通信制御装置がプログラムモジュールを作動させて行う攻撃元の探索は、例えば、パケットの送信先アドレス及び送信元アドレスを逐次記憶して解析することによって行われるため、このことからも通信制御装置にかかる負担が大きくなってしまう。
【０００４】
本発明は上記事情に鑑みてなされたものであり、その目的は、不正なデータ伝送を行っている端末装置を少ない負担で確実に探索できるネットワーク監視システムを提供することにある。
【課題を解決するための手段】
【０００５】
請求項１の発明は、上記目的を達成するために、各々固有のアドレスが割り当てられた複数の端末装置が伝送路を介して接続されたネットワークを監視するネットワーク監視システムであって、それぞれに伝送路が接続される複数のポートを具備したスイッチングハブからなる複数の制御装置と、各制御装置と一対一に対応し当該制御装置の各ポートを通過するデータを監視して不正なデータ伝送を検知する複数のセンサ装置と、各センサ装置の検知情報を収集する管理装置とを備え、各センサ装置は、少なくとも管理装置との間で通信する通信手段と、制御装置の各ポート毎に不正なデータを検知する検知手段と、検知手段が不正なデータを検知したときに不正なデータ伝送が検知されたポートを示すポート番号を含む検知データを生成し通信手段により管理装置に伝送させるセンサ制御手段とを具備し、管理装置は、少なくともセンサ装置との間で通信する通信手段と、各制御装置に割り当てられた識別符号とセンサ装置のセンサ番号並びに各制御装置のポート番号と当該ポート番号のポートに伝送路を介して接続された制御装置又は端末装置との対応関係を記憶する記憶手段と、通信手段によって何れかのセンサ装置から検知データを受け取った場合に記憶手段を参照して当該検知データに含まれるセンサ番号が割り当てられたセンサ装置に対応する制御装置と伝送路を介して直接接続されている他の制御装置に対応するセンサ装置に対して不正なデータ伝送の検知結果の返信を要求する返信要求を生成するとともに通信手段によって当該返信要求を伝送させる管理制御手段とを具備し、前記返信要求を受けたセンサ装置のセンサ制御手段は、検知手段が不正なデータ伝送を検知したときは自己のセンサ番号を含む検知データを生成して通信手段により管理装置に返信し、前記検知データの返信を受け取った管理装置の管理制御手段は、記憶手段を参照して当該検知データを返信したセンサ装置に対応する制御装置と伝送路を介して直接接続されている他の制御装置に対応するセンサ装置に対して不正なデータ伝送の検知結果の返信を要求する処理を繰り返すことで不正なデータ伝送を行った端末装置に直接接続されている制御装置を探索することを特徴とする。
【０００６】
請求項２の発明は、請求項１の発明において、管理装置は、制御装置との間で通信する前記通信手段と、各制御装置に割り当てられた識別符号とセンサ装置のセンサ番号と端末装置のアドレスとの対応関係を記憶する前記記憶手段と、不正なデータ伝送を行った端末装置に直接接続されている制御装置に対して通信手段により制御命令を伝送して不正なデータ伝送を阻止するための制御を行わせる前記管理制御手段とを具備することを特徴とする。
【０００７】
請求項３の発明は、請求項１又は２の発明において、管理装置は、センサ装置から受け取った検知データ並びに管理制御手段によって探索された端末装置のアドレスを記憶する前記記憶手段と、記憶手段に記憶した情報並びに端末装置のアドレスの履歴に基づき、次回の探索時において返信要求の対象とするセンサ装置を選択する前記管理制御手段とを具備することを特徴とする。
【０００８】
請求項４の発明は、請求項１〜３の何れかの発明において、各センサ装置は、各制御装置に割り当てられた識別符号とセンサ装置のセンサ番号と端末装置のアドレスとの対応関係を記憶する記憶手段と、管理装置の動作状況を監視する監視手段と、監視手段にて管理装置が応答不可と判断された場合、通信手段によって他のセンサ装置から検知データを受け取ったときに記憶手段を参照して当該検知データに含まれるセンサ番号が割り当てられたセンサ装置に対応する制御装置と伝送路を介して直接接続されている他の制御装置に対応するセンサ装置に対して不正なデータ伝送の検知結果の返信を要求する返信要求を生成し且つ通信手段によって当該返信要求を伝送させる処理を繰り返し、不正なデータ伝送を行った端末装置に直接接続されている制御装置を探索するとともに当該制御装置に対して通信手段により制御命令を伝送して不正なデータ伝送を阻止するための制御を行わせる前記センサ制御手段とを具備することを特徴とする。
【０００９】
請求項５の発明は、請求項１〜４の何れかの発明において、各センサ装置の検知手段は、対応する制御装置のポート毎のトラフィックに対するパターン数を基準にして不正なデータ伝送を検知することを特徴とする。
【発明の効果】
【００１０】
請求項１の発明によれば、制御装置の各ポートを通過するデータを監視して不正なデータ伝送を検知するセンサ装置がネットワーク内に分散して配置され、各センサ装置の検知情報を管理装置で収集して一元的に管理しているため、従来例のように不正なデータ伝送を検知するためのプログラムモジュールを順次転送させるものに比較して少ない負担で不正なデータ伝送を行っている端末装置を確実に探索できる。
【００１１】
請求項２の発明によれば、攻撃元に最も近い制御装置で不正なデータ伝送を阻止することができ、ネットワークへの影響を軽減することができる。
【００１２】
請求項３の発明によれば、管理装置の管理制御手段が、記憶手段に記憶した情報並びに端末装置のアドレスの履歴に基づき、次回の探索時において返信要求の対象とするセンサ装置を選択するので、例えば、同一の不正なデータ伝送が再度発生した場合に探索経路の途中のセンサ装置をスキップして探索することが可能となり、さらに少ない負担で探索が行える。
【００１３】
請求項４の発明によれば、管理装置が何らかの原因で機能しなくなった場合に個々のセンサ装置が管理装置の機能を実現するので、ネットワーク監視システムがシステムダウンすることを防ぐことができる。
【００１４】
請求項５の発明によれば、例えば、複数のネットワークに分散する大量のコンピュータが一斉に特定のサーバへパケットを送出して通信路をあふれさせて機能を停止させてしまう攻撃（いわゆるＤＤｏＳ攻撃）を検知することができる。
【発明を実施するための最良の形態】
【００１５】
図１は本実施形態のネットワーク監視システム並びに監視対象であるネットワーク（例えば、イントラネットなど）のシステム構成例を示す図である。このネットワークはＴＣＰ／ＩＰなどのインターネット標準の技術を用いて構築された所謂ＩＰネットワークであって、それぞれがコンピュータからなる複数の端末装置Ｘａ，Ｘｃ，…，Ｘｈ並びに管理装置Ｍが伝送路（例えば、ツイストペアケーブル）Ｌｓを介して各制御装置ＳＷ１，ＳＷ２，ＳＷ５，ＳＷ６にスター配線されている。制御装置ＳＷｋ（ｋ＝１，２，…，６）は従来周知のインテリジェントハブ（ＳＮＭＰエージェントの機能を持ったスイッチングハブ）からなり、複数のポートＰkn（ｋ＝１，２，…，６、ｎ＝１，２，３）に各々伝送路Ｌｓを介して端末装置Ｘａ，…や他の制御装置ＳＷｋが接続される。端末装置Ｘａ，…並びに制御装置ＳＷｋには各々固有のアドレス（ＩＰアドレス）が割り当てられている。スイッチングハブである制御装置ＳＷｋでは、ＩＰフォワーディングのために各ポートＰknに接続されている機器（端末装置Ｘａ，…又は他の制御装置ＳＷｋ）のＩＰアドレスを管理している。
【００１６】
各制御装置ＳＷｋには一対一にセンサ装置Ｓｋ（ｋ＝１，２，…，６）が接続される。センサ装置Ｓｋは制御装置ＳＷｋを介した不正なデータ伝送を検知するものであって、少なくとも制御装置ＳＷｋと同数以上のポートＳＰknを有し、図２に示すように各ポートＳＰknにスプリッタＳＬを介して制御装置ＳＷｋのポートＰknが一対一に接続される。
【００１７】
ここで、制御装置ＳＷｋ、センサ装置Ｓｋ、管理装置Ｍのブロック図を図３に示す。制御装置ＳＷｋは、他の制御装置ＳＷｋ又は端末装置Ｘａ，…から受け取ったパケットを別の経路へ向けて再送信（フォワーディング）するフォワーディング部１１と、フォワーディングの際に一定条件を満たすパケットのみを転送する処理（パケットフィルタリング）を行うフィルタリング部１２と、伝送路が接続される複数のポートＰknを有するポート部１３と、ＴＣＰ／ＩＰやＵＤＰなどのインターネット標準の通信プロトコルに従ってパケットを伝送する通信部１４と、ＳＮＭＰエージュエントの機能を実装するとともにフォワーディング部１１やフィルタリング部１２を制御する管理部１５とを具備する。但し、フォワーディング部１１、フィルタリング部１２、通信部１４、管理部１５は図示しないＣＰＵがフォワーディング用、フィルタリング用、通信用、管理用（ＳＮＭＰエージェント用）のプログラムを実行することで実現されるものである。
【００１８】
管理部１５においては、後述するようにＳＮＭＰマネージャである管理装置Ｍからゲットリクエスト（GetRequest）のＳＮＭＰメッセージ（図５（ｅ）参照）を受け取った場合、ポート部１３の各ポートＰknのリンク状態と現在のフィルタリング状態を確認し、その結果をレスポンス（Response）のＳＮＭＰメッセージで管理装置Ｍに返信し（図５（ｇ）参照）、セットリクエスト（SetRequest）のＳＮＭＰメッセージ（図５（ｆ）参照）を受け取った場合、指定されたポートＰknに対してフィルタリング部１２によるパケットフィルタリングを実行する。ここで、セットリクエストのＳＮＭＰメッセージで宛先ＭＡＣアドレス、宛先ＩＰアドレス、宛先ＴＣＰ／ＵＤＰポート番号が指定されていた場合、管理部１５は、指定された宛先ＭＡＣアドレス、宛先ＩＰアドレス、宛先ＴＣＰ／ＵＤＰポート番号によるパケットフィルタリングをフィルタリング部１２に実行させ、宛先ＭＡＣアドレス、宛先ＩＰアドレス、宛先ＴＣＰ／ＵＤＰポート番号が指定されていなければポートＰknのリンクを制御（例えば、遮断）する。
【００１９】
またセンサ装置Ｓｋは、制御装置ＳＷｋのポート部１３が有する各ポートＰknにスプリッタＳＬを介して接続する複数のポートＳＰknを有するポート部２３と、ＴＣＰ／ＩＰやＵＤＰなどのインターネット標準の通信プロトコルに従ってパケットを伝送する通信部２４と、ポート部２３の各ポートＳＰknにおけるパケットの通過を監視するポート監視部２２と、各ポートＳＰknを通過するパケットが不正なデータか否かを検知する不正アクセス検知部２１と、ＳＮＭＰエージュエントの機能を実装し不正アクセス検知部２１やポート監視部２２を制御する管理部２５とを具備する。但し、不正アクセス検知部２１、ポート監視部２２、通信部２４、管理部２５は図示しないＣＰＵが不正アクセス検知用、ポート監視用、通信用、管理用（ＳＮＭＰエージェント用）のプログラムを実行することで実現されるものである。
【００２０】
ポート監視部２２は、各ポートＳＰkn毎に通過するパケットを一定期間だけインデックス付けして保持するものであり（図４（ａ）参照）、このようにして保持されているパケットに対して不正アクセス検知部２１が不正アクセス検知の処理を行う。本実施形態における不正アクセス検知部２１は、Ping of Deathなどの単一パケット内で特定のパターンが既知である不正アクセス、あるいは単一パケットを短時間に集約・集中させて受信側の端末装置Ｘａ，…に過大な負荷をかけたりトラフィックを増大させるSyn FloodやICMP Flood、UDP floodなどのＤｏｓ攻撃のような不正アクセスを検知するものである。具体的には、不正アクセス検知部２１は不正とするパケットのパターンをテーブル形式で記憶し（図４（ｂ）参照）、ポート監視部２２がインデックス付けして保持しているパケットをデータテーブルに登録されているパターンと照合して当該パターンと一致したパケットの数をカウントし、単位時間（例えば、１秒間）内の不正パターンと一致したパケットの数（以下、「秒間パターン数」と呼ぶ。）を所定の基準値（以下、「基準秒間パターン数」と呼ぶ。）と比較し、秒間パターン数が基準秒間パターン数を超えているときに不正アクセスを検知する。不正アクセス検知部２１が不正アクセスを検知したら、管理部２５は自己に割り当てられたセンサ番号Ｓ１，Ｓ２，…、監視対象の制御装置ＳＷｋのスイッチ番号ＳＷ１，ＳＷ２，…、検知した接続ポート番号、不正アクセスと検知されたパターンのパターン番号、秒間パターン数、当該パケットの宛先ＭＡＣアドレス、宛先ＩＰアドレス、宛先ＴＣＰ／ＵＤＰポート番号を含む検知データを、図５（ａ）に示すＳＮＭＰのトラップ（Trap）により伝送路Ｌｓを介して管理装置Ｍに伝送する。なお、管理部２５では、図４（ｃ）に示すようにインデックス付けして保持されているパケットのパターン番号、宛先ＭＡＣアドレス、宛先ＩＰアドレス、宛先ＩＰアドレス、ＴＣＰ／ＵＤＰポート番号をテーブル形式で管理している。但し、クライアントに接続されている制御装置ＳＷｋとサーバに接続されている制御装置ＳＷｋでは定常的に通過するパケットの量が大幅に異なっているので、基準秒間パターン数は管理装置Ｍによって各制御装置ＳＷｋ毎に適切な値に設定される。
【００２１】
また、後述するようにＳＮＭＰマネージャである管理装置Ｍからセットリクエスト（SetRequest）のＳＮＭＰメッセージ（図５（ｂ）参照）を受け取った場合、センサ装置Ｓｋの管理部２５は、当該メッセージのオブジェクトデータに含まれる接続ポート番号のポートＳＰknにおいて、パターン番号で指定されたパターンの秒間パターン数と、同じオブジェクトデータに含まれる基準秒間パターン数とを比較し、秒間パターン数が基準秒間パターン数を下回っていれば、レスポンス（Response）のＳＮＭＰメッセージをエラー無しで管理装置Ｍに返信し（図５（ｃ）参照）、秒間パターン数が基準秒間パターン数を上回っていれば、不正アクセスを検知した接続ポート番号をエラーインデックスに含むレスポンス（Response）のＳＮＭＰメッセージを管理装置Ｍに返信する（図５（ｄ）参照）。
【００２２】
管理装置Ｍは、伝送路を接続する複数のポートを有するポート部３３と、ＴＣＰ／ＩＰやＵＤＰなどのインターネット標準の通信プロトコルに従ってパケットを伝送する通信部３４と、ＳＮＭＰマネージャの機能を実装し通信部３４を介して制御装置ＳＷｋ並びにセンサ装置Ｓｋとの間でＳＮＭＰメッセージを授受する管理部３５と、管理部３５の制御下でＳＮＭＰエージェント（制御装置ＳＷｋ又はセンサ装置Ｓｋ）に送信するＳＮＭＰメッセージの生成並びにＳＮＭＰエージェントから受信したＳＮＭＰメッセージに含まれるコマンド（ＰＤＵ）の処理を行うメッセージ処理部３１と、ＳＮＭＰメッセージによってＳＮＭＰエージェントの情報を収集するメッセージ収集部３２とを具備する。管理部３５は、各センサ装置Ｓｋに対して定期的にゲットリクエストのＳＮＭＰメッセージを送ることによってメッセージ収集部３２で収集したＳＮＭＰエージェント（センサ装置Ｓｋ）の情報から、図６（ｂ）〜（ｅ）に示すような管理テーブル、すなわち、センサ番号Ｓｋ、スイッチ番号ＳＷｋ、接続ポート番号Ｐkn、アクセスのパターン番号、秒間パターン数、基準秒間パターン数、秒間パターン数の基準秒間パターン数に対する状態（秒間パターン数が基準秒間パターン数を上回っていれば”１”、それ以外は”２”）を一つのセットとしたリストを構築する。但し、メッセージ処理部３１、メッセージ収集部３２、通信部３４、管理部３５は図示しないＣＰＵが通信用及び管理用（ＳＮＭＰマネージャ用）のプログラムを実行することで実現されるものである。なお管理装置Ｍにおいては、図６（ａ）に示すように、各制御装置ＳＷｋの複数のポートＰknが各々他の制御装置ＳＷｋの何れのポートＰknと接続されているかという接続関係をリストにしたデータテーブル（以下、「接続関係テーブル」と呼ぶ。）を図示しないメモリに記憶している。
【００２３】
次に、何れかの端末装置、例えば端末装置Ｘａが端末装置ＸｈからＤｏＳ攻撃を受けた場合におけるセンサ装置Ｓｋ、管理装置Ｍ、制御装置ＳＷｋの動作を、図７及び図８のフローチャートを参照して説明する。
【００２４】
図７及び図８はそれぞれセンサ装置Ｓｋの動作、管理装置Ｍの動作を説明するためのフローチャートである。まず、制御装置ＳＷ１に対応するセンサ装置Ｓ１において、端末装置Ｘａが接続されているポートＰ12の秒間パターン数が基準秒間パターン数を超えたときに不正アクセス検知部２１が不正アクセスを検知する。例えば、基準秒間パターン数が３０であったときに、接続ポート番号（＝Ｐ12）を通過するパターン番号（＝１）のＴＣＰ／ＳＹＮに一致するパケットの数が１秒間当たり８９となって基準秒間パターン数（＝３０）を上回っているため、不正アクセス検知部２１が接続ポート番号（＝Ｐ12）に対するパターン番号（＝１）のアクセスを不正アクセスとして検知する（図７のステップ１）。不正アクセス検知部２１が不正アクセスを検知すれば、管理部２５がセンサ番号（＝Ｓ１）、監視対象の制御装置ＳＷ１のスイッチ番号（＝ＳＷ１）、検知した接続ポート番号（＝Ｐ12）、不正アクセスと検知されたパターンのパターン番号（＝１）、秒間パターン数（＝８９）、当該パケットの宛先ＭＡＣアドレス、宛先ＩＰアドレス、宛先ＴＣＰ／ＵＤＰポート番号を含む検知データをＳＮＭＰメッセージのトラップ（Trap）により伝送路Ｌｓを介して管理装置Ｍに伝送する（図７のステップ２）
一方、センサ装置Ｓ１からトラップのＳＮＭＰメッセージを受け取った管理装置Ｍでは（図８のステップ１）、受け取ったＳＮＭＰメッセージの内容に従ってメッセージ収集部３２が管理テーブルの内容を更新し（図６（ｂ）参照）、管理部３５が接続関係テーブル（図６（ａ）参照）を参照して不正アクセスが検知された制御装置ＳＷ１のポートＰ12と直接接続されている上流の制御装置ＳＷ３の接続ポート番号（＝Ｐ31）を取得する（図８のステップ２）。さらに管理部３５は、上流の制御装置ＳＷ３に対応するセンサ装置Ｓ３に対して、スイッチ番号（＝ＳＷ３）、接続ポート番号（＝Ｐ31）、不正アクセスと検知されたパターンのパターン番号（＝１）、基準秒間パターン数（＝３０）、当該パケットの宛先ＭＡＣアドレス、宛先ＩＰアドレス、宛先ＴＣＰ／ＵＤＰポート番号を含む検知データを加えてゲットリクエストのＳＮＭＰメッセージを伝送する（図８のステップ４）。
【００２５】
管理装置ＭからゲットリクエストのＳＮＭＰメッセージを受け取ったセンサ装置Ｓ３では、制御装置ＳＷ３のポートＰ32の秒間パターン数（＝９５）が基準秒間パターン数（＝３０）を超えていることで不正アクセス検知部２１が不正アクセスを検知し、管理部２５がセンサ番号（＝Ｓ３）、監視対象の制御装置ＳＷ３のスイッチ番号（＝ＳＷ３）、検知した接続ポート番号（＝Ｐ32）、秒間パターン数（＝９５）、当該パケットの宛先ＭＡＣアドレス、宛先ＩＰアドレス、宛先ＴＣＰ／ＵＤＰポート番号を含む検知データをＳＮＭＰメッセージのレスポンスにより管理装置Ｍに返信する（図７のステップ３，４）。
【００２６】
センサ装置Ｓ３からＳＮＭＰメッセージのレスポンスを受け取った管理装置Ｍでは、受け取ったＳＮＭＰメッセージの内容に従ってメッセージ収集部３２が管理テーブルの内容を更新し（図６（ｃ）参照）、不正アクセスが検知されたポートＰ32が存在することから（図８のステップ５）、管理部３５が接続関係テーブルを参照して不正アクセスが検知された制御装置ＳＷ３のポートＰ32と直接接続されている上流の制御装置ＳＷ４の接続ポート番号（＝Ｐ41）を取得する（図８のステップ２）。さらに管理部３５は、上流の制御装置ＳＷ４に対応するセンサ装置Ｓ４に対して、スイッチ番号（＝ＳＷ４）、接続ポート番号（＝Ｐ41）、不正アクセスと検知されたパターンのパターン番号（＝１）、基準秒間パターン数（＝３０）、当該パケットの宛先ＭＡＣアドレス、宛先ＩＰアドレス、宛先ＴＣＰ／ＵＤＰポート番号を含む検知データを加えてゲットリクエストのＳＮＭＰメッセージを伝送する（図８のステップ４）。
【００２７】
同様に管理装置ＭからゲットリクエストのＳＮＭＰメッセージを受け取ったセンサ装置Ｓ４では、制御装置ＳＷ４のポートＰ43の秒間パターン数（＝９９）が基準秒間パターン数（＝３０）を超えていることで不正アクセス検知部２１が不正アクセスを検知し、管理部２５がセンサ番号（＝Ｓ４）、監視対象の制御装置ＳＷ４のスイッチ番号（＝ＳＷ４）、検知した接続ポート番号（＝Ｐ43）、秒間パターン数（＝９９）、当該パケットの宛先ＭＡＣアドレス、宛先ＩＰアドレス、宛先ＴＣＰ／ＵＤＰポート番号を含む検知データをＳＮＭＰメッセージのレスポンスにより管理装置Ｍに返信する（図７のステップ３，４）。
【００２８】
センサ装置Ｓ４からＳＮＭＰメッセージのレスポンスを受け取った管理装置Ｍでは、受け取ったＳＮＭＰメッセージの内容に従ってメッセージ収集部３２が管理テーブルの内容を更新し（図６（ｄ）参照）、不正アクセスが検知されたポートＰ43が存在することから（図８のステップ５）、管理部３５が接続関係テーブルを参照して不正アクセスが検知された制御装置ＳＷ４のポートＰ43と直接接続されている上流の制御装置ＳＷ６の接続ポート番号（＝Ｐ61）を取得する（図８のステップ２）。さらに管理部３５は、上流の制御装置ＳＷ６に対応するセンサ装置Ｓ６に対して、スイッチ番号（＝ＳＷ６）、接続ポート番号（＝Ｐ61）、不正アクセスと検知されたパターンのパターン番号（＝１）、基準秒間パターン数（＝３０）、当該パケットの宛先ＭＡＣアドレス、宛先ＩＰアドレス、宛先ＴＣＰ／ＵＤＰポート番号を含む検知データを加えてゲットリクエストのＳＮＭＰメッセージを伝送する（図８のステップ４）。
【００２９】
管理装置ＭからゲットリクエストのＳＮＭＰメッセージを受け取ったセンサ装置Ｓ６では、制御装置ＳＷ６のポートＰ63の秒間パターン数（＝９９）が基準秒間パターン数（＝３０）を超えていることで不正アクセス検知部２１が不正アクセスを検知し、管理部２５がセンサ番号（＝Ｓ６）、監視対象の制御装置ＳＷ６のスイッチ番号（＝ＳＷ６）、検知した接続ポート番号（＝Ｐ63）、秒間パターン数（＝９９）、当該パケットの宛先ＭＡＣアドレス、宛先ＩＰアドレス、宛先ＴＣＰ／ＵＤＰポート番号を含む検知データをＳＮＭＰメッセージのレスポンスにより管理装置Ｍに返信する（図７のステップ３，４）。
【００３０】
センサ装置Ｓ６からＳＮＭＰメッセージのレスポンスを受け取った管理装置Ｍでは、受け取ったＳＮＭＰメッセージの内容に従ってメッセージ収集部３２が管理テーブルの内容を更新し（図６（ｅ）参照）、不正アクセスが検知されたポートＰ63が存在することから（図８のステップ５）、管理部３５が接続関係テーブルを参照して不正アクセスが検知された制御装置ＳＷ６のポートＰ63と直接接続されている上流の制御装置を検索する。しかしながら、制御装置ＳＷ６のポートＰ63には上流の制御装置ではなく端末装置Ｘｈが接続されているので（図８のステップ３）、管理部３５は当該端末装置Ｘｈを攻撃元と判断し、制御装置ＳＷ６に対してゲットリクエストのＳＮＭＰメッセージを伝送することでポートＰ63の状態を確認し（図８のステップ６）、フィルタリングが実行されていなければ（図８のステップ７）、ポートＰ63を通過するパケットに対してフィルタリングを実行させるための命令をセットリクエストのＳＮＭＰメッセージで制御装置ＳＷ６に伝送する（図８のステップ８）。
【００３１】
管理装置ＭからセットリクエストのＳＮＭＰメッセージを受け取った制御装置ＳＷ６では、管理部１５がフィルタリング部１２に対してポート部１３のポートＰ63を通過するパケットに対してフィルタリングを実行させることで攻撃者（端末装置Ｘｈ）によるＤｏＳ攻撃を阻止することができる。
【００３２】
ところで、一度でも何らかの不正なデータ伝送（上述のＤｏＳ攻撃など）が検知されると、管理装置Ｍでは図６（ｂ）〜（ｅ）に示すような管理テーブルが構築されるので、例えば、上述のように端末装置Ｘｈから端末装置Ｘａへ任意のパターンのＤｏＳ攻撃が一定間隔（例えば、１０分間隔）で繰り返された場合、端末装置Ｘａに対応するセンサ装置Ｓ１から同じパターンの不正なデータ伝送を検知した旨の検知データを受け取ったときに、管理装置Ｍの管理部３５は以前と同じ攻撃元によるＤｏＳ攻撃であると推定することができる。従って、管理部３５が攻撃元の端末装置Ｘｈを探索する際に途中の経路（制御装置ＳＷ３，ＳＷ４）におけるセンサ装置Ｓ３，Ｓ４への問い合わせ（返信要求）をスキップすることができるから、管理部３５の負担を軽減し且つ攻撃元の探索を短時間で完了することができる。
【００３３】
また、上述のように同一の攻撃と推定できないまでも、管理テーブルを参照することで秒間パターン数が相対的に少ないセンサ装置に対する返信要求をスキップすることができる。例えば上述の例では、制御装置ＳＷ３のポートＰ32の秒間パターン数（＝９５）よりも制御装置ＳＷ４のポートＰ43の秒間パターン数（＝９９）の方が多いことが管理テーブル（図６（ｃ）（ｄ）参照）を参照することで判るから、管理部３５がセンサ装置Ｓ３，Ｓ４に対する返信要求をスキップしてセンサ装置Ｓ６に返信要求を行うことで攻撃元の端末装置Ｘｈを探索することが可能であり、同じく管理部３５の負担を軽減し且つ攻撃元の探索を短時間で完了することができる。
【００３４】
而して、本実施形態のネットワーク監視システムでは、制御装置ＳＷｋの各ポートＰknを通過するデータを監視して不正なデータ伝送を検知するセンサ装置Ｓｋがネットワーク内に分散して配置され、各センサ装置Ｓｋの検知情報を管理装置Ｍで収集して一元的に管理しているので、従来例のように不正なデータ伝送を検知するためのプログラムモジュールを順次転送させるものに比較して少ない負担で不正なデータ伝送を行っている端末装置を確実に探索できるものである。また、パケットの送信先アドレス及び送信元アドレスを逐次記憶し解析することによって攻撃元を探索する場合に比較して、制御装置ＳＷｋのポートＰknを通過するパケットの秒間パターン数等で不正なデータ伝送（不正アクセス）を検知することによりセンサ装置Ｓｋの不正アクセス検知部２１における処理負担が非常に軽くなるという利点がある。
【００３５】
ところで、仮に管理装置ＭがＤｏＳ攻撃の攻撃対象となった場合のようにセンサ装置Ｓｋから管理装置ＭへのＳＮＭＰメッセージの伝送が不能になると攻撃元の探索ができなくなってネットワーク監視システムがシステムダウンしてしまう虞がある。そこで、管理装置Ｍが何らかの原因で機能しなくなった場合に個々のセンサ装置Ｓｋが管理装置Ｍの機能を実現すれば、ネットワーク監視システムがシステムダウンすることを防ぐことができる。具体的には、管理装置Ｍの管理部３５が一定間隔（例えば、１０秒間隔）でゲットリクエストのＳＮＭＰメッセージを各センサ装置Ｓｋに順次伝送するようにしておき、ＳＮＭＰメッセージの機能を搭載した各センサ装置Ｓｋの管理部２５で、少なくとも監視対象の制御装置ＳＷｋが互いに直接接続されている同士で接続関係テーブルを管理し、一定間隔のゲットリクエストが伝送されてこない場合に管理装置Ｍが機能しなくなった（応答不可）と判断する。そして、管理装置Ｍが応答不可となったら、センサ装置Ｓｋの管理部３５が接続関係テーブルを参照して不正アクセスが検知された制御装置ＳＷｋのポートＰknと直接接続されている上流の制御装置ＳＷk+1を監視するセンサ装置Ｓk+1に対して不正アクセスの有無を問い合わせ、さらにこの上流のセンサ装置Ｓk+1の管理部３５が接続関係テーブルを参照して不正アクセスが検知された制御装置ＳＷk+1のポートＰk+1nと直接接続されている上流の制御装置ＳＷk+2を監視するセンサ装置Ｓk+2に対して不正アクセスの有無を問い合わせ、同様に次々と上流のセンサ装置Ｓｋに問い合わせていくことで攻撃元の探索が行え、攻撃元の端末装置が接続されている制御装置ＳＷｋを監視するセンサ装置Ｓｋにおいて、管理部３５から当該制御装置ＳＷｋにセットリクエストのＳＮＭＰメッセージを伝送して不正アクセスが検知されたポートＰknのフィルタリング若しくはリンク制御を行わせればよい。
【００３６】
而して、通常は管理装置Ｍによる一元的な管理を行い、管理装置Ｍが応答不可となったときに個々のセンサ装置Ｓｋを管理装置としても機能させることでネットワーク監視システムがシステムダウンすることが未然に防止できる。なお、管理装置Ｍが応答可能となった時点で通常の管理装置Ｍによる一元的な管理体制に復帰すればよい。
【００３７】
また、複数のネットワークに分散する大量のコンピュータが一斉に特定のサーバへパケットを送出して通信路をあふれさせて機能を停止させてしまう攻撃（いわゆるＤＤｏＳ攻撃）においては、攻撃元に近いほど不正なデータ伝送のトラフィックが少なく、攻撃先に近づくにつれて不正なデータ伝送のトラフィックが増加する傾向にある。故に、かかるＤＤｏＳ攻撃が本実施形態のネットワークで発生した場合、各センサ装置Ｓｋにおける基準秒間パターン数を大きく設定すると攻撃元の探索が困難となり、基準秒間パターン数を小さく設定すると不正でないデータ伝送までも誤検知してしまう虞がある。したがって、管理装置Ｍから各センサ装置Ｓｋへ伝送するＳＮＭＰメッセージを用いて最初の基準秒間パターン数を上流のセンサ装置Ｓｋ毎に伝達し、その基準秒間パターン数を下流の最初のセンサ装置Ｓｋの基準秒間パターン数に置き換えて探索することにより、個々のセンサ装置Ｓｋ毎に異なる基準秒間パターン数を設定していても攻撃元の端末装置を攻撃先の端末装置の設定に合わせて適切に探索することができる。
【図面の簡単な説明】
【００３８】
【図１】本発明の実施形態を示すシステム構成図である。
【図２】同上における制御装置とセンサ装置の配線図である。
【図３】同上における制御装置、センサ装置、管理装置のブロック図である。
【図４】同上の動作説明図である。
【図５】同上で使用するＳＮＭＰメッセージのフォーマットである。
【図６】（ａ）は同上で使用する接続関係テーブル、（ｂ）〜（ｅ）は同上で使用する管理テーブルを示す図である。
【図７】同上におけるセンサ装置の動作説明用のフローチャートである。
【図８】同上における管理装置の動作説明用のフローチャートである。
【符号の説明】
【００３９】
ＳＷ１〜ＳＷ６  制御装置
Ｘａ〜Ｘｈ  端末装置
Ｓ１〜Ｓ６  センサ装置
Ｍ  管理装置
Ｐkn（ｋ＝１〜６、ｎ＝１〜３）  ポート
【図１】
2006311448.tif 000003
【図２】
2006311448.tif 000004
【図３】
2006311448.tif 000005
【図４】
2006311448.tif 000006
【図５】
2006311448.tif 000007
【図６】
2006311448.tif 000008
【図７】
2006311448.tif 000009
【図８】
2006311448.tif 000010